¿Qué debe incluir una licitación de una pasarela LLM o una plataforma de IA?

Dónde se tratan los datos, qué se conserva, quién puede entrenar con ellos, los subencargados y el contrato de encargo, la identidad y el acceso (SSO, SCIM, claves), el control del gasto, qué modelos y proveedores se permiten, los registros de auditoría y su exportación, el apoyo a las obligaciones del responsable del despliegue según el Reglamento de IA, las condiciones de salida y el SLA. Este pliego cubre cada área con 43 requisitos y la evidencia que pedir.

¿Pueden los órganos de contratación usar este pliego en una licitación pública?

Sí. Es libre para copiar y modificar. Los órganos de contratación suelen usarlo como anexo de requisitos técnicos del pliego de prescripciones técnicas y añadir al contrato las cláusulas contractuales tipo de la UE para la IA (MCC-AI), de carácter voluntario. Revise los requisitos con arreglo a su normativa de contratación y marque los obligatorios antes de publicar.

¿Es un proveedor de modelos un subencargado de una pasarela de IA?

Normalmente sí. Cuando una pasarela reenvía a un proveedor de modelos prompts que contienen datos personales, ese proveedor trata los datos por cuenta de la pasarela. Por eso las filas 13 y 14 piden una lista de subencargados que incluya a los proveedores de inferencia y un aviso previo antes de añadir otros nuevos.

¿Cuánto tiempo debe conservar una plataforma de IA los registros de solicitudes?

Para los usos de alto riesgo, el artículo 26, apartado 6, del Reglamento de IA pide a los responsables del despliegue conservar los archivos de registro que estén bajo su control durante al menos seis meses, salvo que otra normativa disponga otra cosa. Muchos compradores piden 12 meses de registros de solicitudes con solo metadatos y ningún contenido almacenado.

Pliego de requisitos para licitar una pasarela LLM o una plataforma de IA

Actualizado el 9 de noviembre de 2026. Libre para copiar, modificar y usar en sus propios pliegos.

Una empresa o un organismo público que contrata acceso a modelos de lenguaje de gran tamaño para su personal y sus aplicaciones suele contratar una pasarela: una cuenta y una API delante de varios proveedores de modelos. Este pliego recoge 43 requisitos para esa contratación, agrupados en el orden en que los recorre una revisión de seguridad y de compras. Para cada requisito indica por qué importa y qué evidencia conviene pedir al licitador.

Es neutral respecto al proveedor y sirve como anexo de requisitos para una solicitud de ofertas, una licitación pública o una evaluación de seguridad de proveedores. Para las condiciones contractuales propias de la IA, combínelo con las cláusulas contractuales tipo de la UE para la contratación de IA (MCC-AI), de carácter voluntario, publicadas en marzo de 2025 en la Public Buyers Community de la Comisión Europea.

Descargar el pliego (.md)Hoja de cálculo (.csv)

El CSV se abre en Excel, Google Sheets o Numbers, con columnas vacías para la ponderación, la respuesta del licitador y la evidencia recibida.

Los requisitos

Cada requisito está redactado para que el licitador pueda responderlo en un párrafo y adjuntar la evidencia. Marque los que sean obligatorios para usted, pondere el resto y elimine lo que no aplique.

1. Ubicación de los datos

N.º	Requisito	Por qué importa	Evidencia que pedir
1	Región de tratamiento. El proveedor puede limitar la inferencia a una región que indique el órgano de contratación, como la UE/EEE o Europa, para toda la organización, un equipo o una sola clave de API, incluidos los reintentos y las conmutaciones por error.	Por qué importaLas pasarelas cambian de proveedor cuando uno falla. Sin una regla de región que cubra cada intento, una conmutación puede llevar un prompt a otra jurisdicción sin que nadie lo advierta.	Evidencia que pedirLa política de enrutamiento para el tráfico restringido, los endpoints permitidos en cada región con su ubicación y qué ocurre cuando ningún endpoint de la región puede atender una solicitud.
2	Definición de la región. El proveedor indica qué países abarca cada región, por ejemplo solo la UE/EEE, o también el Reino Unido, Suiza u otros países.	Por qué importaLos materiales comerciales suelen usar Europa y UE como sinónimos. Su evaluación de las transferencias depende de la lista exacta.	Evidencia que pedirUna definición por escrito de cada región y la ubicación del tratamiento de cada subencargado incluido en ella.
3	Ubicación de la entrada y de la pasarela. El proveedor indica dónde termina TLS, dónde se ejecuta la pasarela y qué nombre de host debe usarse para el tratamiento regional.	Por qué importaUna solicitud puede atenderla un modelo en la región correcta y aun así pasar antes por una red perimetral global.	Evidencia que pedirLos nombres de host por región, el proveedor de alojamiento y la región del balanceador de carga y de la pasarela, y un diagrama de flujo de datos.
4	Ubicación de metadatos y registros. El proveedor indica dónde se almacenan y tratan los datos de la cuenta, los registros de uso, los registros operativos, las copias de seguridad y el correo electrónico.	Por qué importaLas respuestas sobre residencia de datos suelen cubrir solo los prompts. Los metadatos también contienen datos personales, como nombres, direcciones de correo electrónico y direcciones IP.	Evidencia que pedirUna ubicación de almacenamiento por categoría de datos, incluidas las copias de seguridad y el correo transaccional.

2. Conservación y retención cero de datos

N.º	Requisito	Por qué importa	Evidencia que pedir
5	Sin almacenamiento de contenido por el proveedor. El proveedor trata los prompts y las respuestas solo para atender la solicitud, o indica con exactitud qué contenido almacena, dónde y durante cuánto tiempo.	Por qué importaLa pasarela ve cada prompt que envía su organización. Su propia conservación de datos es la primera exposición que hay que revisar.	Evidencia que pedirUna descripción del flujo de datos, el esquema de registro con los campos que se escriben y la cláusula correspondiente del contrato de encargo.
6	Retención cero de datos en los proveedores de modelos. El órgano de contratación puede exigir que las solicitudes vayan solo a endpoints de modelos que se comprometen a no guardar ninguna copia del contenido, a nivel de organización, equipo o clave, sin que los niveles inferiores puedan desactivarlo.	Por qué importaLos proveedores de modelos suelen conservar los prompts durante un tiempo para vigilar abusos, salvo que el endpoint tenga un acuerdo de retención cero.	Evidencia que pedirLas condiciones de conservación de cada proveedor, cómo se aplica el ajuste en cada solicitud y qué funciones quedan desactivadas mientras está activo.
7	Funciones que almacenan contenido. El proveedor enumera cada función que almacena contenido (caché de prompts, respuestas almacenadas, estado de la conversación, archivos, trabajos por lotes) con su plazo de conservación y el ajuste que la desactiva.	Por qué importaLos compromisos de conservación suelen incluir excepciones para ciertas funciones. La lista muestra dónde están esas excepciones.	Evidencia que pedirUna lista de funciones con el plazo de conservación de cada una y el control que la desactiva.
8	Supresión al final del contrato. El proveedor suprime o devuelve los datos del órgano de contratación en un plazo determinado tras el fin del servicio y lo confirma por escrito.	Por qué importaEl artículo 28, apartado 3, letra g), del RGPD exige que el contrato con el encargado del tratamiento regule la supresión o devolución al finalizar la prestación de los servicios.	Evidencia que pedirLa cláusula del contrato de encargo con el plazo, el tratamiento de las copias de seguridad y un modelo de confirmación de supresión.

3. Entrenamiento y uso de los datos

N.º	Requisito	Por qué importa	Evidencia que pedir
9	Sin entrenamiento por el proveedor. El proveedor no usa prompts, respuestas ni metadatos para entrenar o mejorar modelos.	Por qué importaEl entrenamiento es el uso que los compradores excluyen con más frecuencia, y la exclusión solo vincula si figura en el contrato.	Evidencia que pedirLa cláusula del contrato o del contrato de encargo y el apartado correspondiente de la política de privacidad.
10	Sin entrenamiento por los proveedores de modelos. El proveedor envía el tráfico del órgano de contratación solo a proveedores que se comprometen a no entrenar con él, y explica cómo se aplica en cada solicitud.	Por qué importaEl compromiso de la pasarela no vincula a los proveedores de modelos que hay detrás.	Evidencia que pedirLas condiciones de cada proveedor por endpoint, el mecanismo de aplicación y el tráfico que cubre.
11	Otros usos secundarios. El proveedor indica si el contenido o los metadatos se usan para analítica, comparativas, mejora del producto o revisión humana, y cómo oponerse.	Por qué importaLos usos secundarios quedan fuera de las instrucciones que un responsable del tratamiento da a un encargado, salvo que se hayan acordado.	Evidencia que pedirUna lista de usos secundarios, la política de revisión humana y el ajuste para excluirse.

4. Subencargados y contrato de encargo

N.º	Requisito	Por qué importa	Evidencia que pedir
12	Contrato de encargo del tratamiento. Antes de la firma se dispone de un contrato conforme al artículo 28 del RGPD que regula objeto, duración, instrucciones, confidencialidad, seguridad, asistencia, supresión y auditorías.	Por qué importaEl artículo 28, apartado 3, enumera lo que debe contener el contrato con el encargado. Una pasarela trata datos personales en cada prompt que menciona a una persona.	Evidencia que pedirEl texto del contrato de encargo, la ley aplicable y la forma de firma.
13	Lista de subencargados. El proveedor publica cada subencargado del tratamiento con su finalidad, los datos que trata y su ubicación, incluidos los proveedores de modelos y de inferencia.	Por qué importaEn una pasarela, cada proveedor de modelos que puede atender su tráfico es un subencargado.	Evidencia que pedirLa URL de la lista y la fecha de su último cambio.
14	Aviso de nuevos subencargados. El proveedor avisa con una antelación determinada antes de añadir o sustituir un subencargado, con derecho de oposición.	Por qué importaEl artículo 28, apartado 2, exige informar al responsable del tratamiento de los cambios y darle la oportunidad de oponerse.	Evidencia que pedirLa cláusula del contrato de encargo con el plazo de aviso y el canal por el que se avisa.
15	Transferencias internacionales. Para cualquier tratamiento fuera del EEE, el proveedor indica el mecanismo de transferencia (decisión de adecuación, cláusulas contractuales tipo, UK IDTA).	Por qué importaLas transferencias necesitan una base jurídica conforme al capítulo V del RGPD, y el órgano de contratación documenta su evaluación.	Evidencia que pedirLos anexos de las cláusulas contractuales tipo y un resumen de la evaluación de impacto de las transferencias del proveedor.
16	Notificación de violaciones de seguridad. El proveedor notifica las violaciones de la seguridad de los datos personales sin dilación indebida y en un número de horas determinado.	Por qué importaEl responsable del tratamiento dispone de 72 horas para notificar a la autoridad de control según el artículo 33, así que el plazo del encargado debe ser igual o más corto.	Evidencia que pedirLa cláusula del contrato de encargo, un resumen del proceso de respuesta a incidentes y el contacto de seguridad.

5. Identidad y acceso

N.º	Requisito	Por qué importa	Evidencia que pedir
17	Inicio de sesión único. Acceso mediante SAML 2.0 u OpenID Connect con el proveedor de identidad del órgano de contratación, como Microsoft Entra ID, Okta o Google Workspace, para la consola de administración y para los usuarios.	Por qué importaLas cuentas de trabajo vinculan el acceso a la relación laboral y aplican las políticas de MFA y de inicio de sesión del comprador.	Evidencia que pedirLos protocolos y proveedores de identidad admitidos, la guía de configuración y una conexión de prueba.
18	SSO obligatorio. El órgano de contratación puede exigir SSO a todos los usuarios y desactivar las contraseñas y otros métodos de acceso.	Por qué importaUn SSO que convive con contraseñas deja cuentas fuera del control del proveedor de identidad.	Evidencia que pedirEl ajuste y cómo trata las sesiones abiertas y las claves de API existentes.
19	Aprovisionamiento de usuarios. Aprovisionamiento y desaprovisionamiento SCIM 2.0 desde el proveedor de identidad, con asignación de grupos a roles o equipos.	Por qué importaSin desaprovisionamiento, quienes dejan la organización conservan el acceso hasta que alguien se acuerda de retirarlo.	Evidencia que pedirLos recursos SCIM admitidos (usuarios, grupos) y en cuánto tiempo el desaprovisionamiento revoca sesiones y claves.
20	Roles y claves de API. Control de acceso basado en roles, una clave por persona y por aplicación, claves con alcance limitado y revocación inmediata.	Por qué importaLas claves compartidas ocultan quién envió cada solicitud y no se pueden revocar para una sola persona.	Evidencia que pedirLa matriz de roles y el ciclo de vida de las claves: creación, alcance, rotación y revocación.
21	Aplicaciones de escritorio y agentes de programación. El proveedor indica cómo se autentican los empleados en aplicaciones de IA de escritorio y agentes de programación (por ejemplo Claude Desktop, Claude Code y extensiones de IDE): con su cuenta de trabajo o con claves distribuidas.	Por qué importaEn estas herramientas aparecen cuentas personales y claves copiadas fuera del proceso de compras.	Evidencia que pedirLa guía de configuración y la lista de herramientas compatibles.

6. Control del gasto

N.º	Requisito	Por qué importa	Evidencia que pedir
22	Presupuestos en los niveles que usted gestiona. Límites mensuales estrictos por usuario, por aplicación y por equipo o departamento, que detienen el gasto al alcanzar el límite.	Por qué importaLos agentes y los trabajos por lotes pueden gastar el presupuesto de un mes en horas. Un límite que solo avisa es un informe.	Evidencia que pedirLos niveles admitidos y qué ocurre al llegar al límite: bloqueo, aviso o exceso facturado.
23	Tope de la organización y alertas. Un tope para toda la organización y alertas antes de alcanzar cualquier límite.	Por qué importaFinanzas necesita una cifra que no se pueda superar, pase lo que pase por debajo.	Evidencia que pedirLos ajustes y los canales de alerta.
24	Precios y facturación. Precio por modelo o por plan, la moneda de facturación, facturas con los datos de la empresa y el NIF-IVA del comprador, e informes de costes por usuario y aplicación para la imputación interna.	Por qué importaLos precios por token difieren entre modelos en órdenes de magnitud, así que la evaluación necesita la base de precios y los informes.	Evidencia que pedirLa lista de precios, una factura de ejemplo y un informe de uso de ejemplo.

7. Acceso a modelos y listas de permitidos

N.º	Requisito	Por qué importa	Evidencia que pedir
25	Catálogo de modelos. Los modelos de frontera y de pesos abiertos ofrecidos, y cuáles están disponibles con cada regla de región.	Por qué importaUn modelo que no está disponible en su región deja de estar disponible para usted en cuanto activa la regla de región.	Evidencia que pedirUna lista de modelos por región y la política para añadir modelos.
26	Listas de modelos permitidos. Los administradores eligen qué modelos puede usar cada equipo, aplicación o clave. Las solicitudes a otros modelos se rechazan.	Por qué importaLa aprobación de un modelo que solo figura en un documento de política no impide a nadie llamar a otro modelo.	Evidencia que pedirEl ajuste y el error que se devuelve para un modelo no permitido.
27	Listas de proveedores permitidos. Los administradores eligen qué proveedores de inferencia pueden atender el tráfico. Las conmutaciones respetan la lista y nunca se añaden proveedores nuevos sin aprobación.	Por qué importaUn proveedor que añade el licitador es un nuevo lugar donde se tratan sus datos.	Evidencia que pedirEl ajuste, cómo lo aplican las conmutaciones y qué ocurre cuando el licitador añade un proveedor.
28	Cambios de modelo. El proveedor avisa con antelación de las retiradas de modelos y los cambios de versión, y el órgano de contratación puede fijar una versión.	Por qué importaUn cambio de modelo silencioso altera la calidad de las respuestas y puede invalidar la evaluación hecha para un caso de uso.	Evidencia que pedirLa política de retirada de modelos y el canal de aviso.
29	Transparencia del enrutamiento. Si el proveedor enruta automáticamente entre modelos o proveedores, por coste o disponibilidad, documenta las reglas y registra qué modelo y qué proveedor atendió cada solicitud.	Por qué importaEl enrutamiento automático solo aporta valor si usted puede ver adónde fue cada solicitud.	Evidencia que pedirLa documentación del enrutamiento y un registro de ejemplo por solicitud.

8. Registros de auditoría y exportación

N.º	Requisito	Por qué importa	Evidencia que pedir
30	Registro de auditoría de administración. Cada cambio en usuarios, claves, presupuestos y políticas, con autor, fecha y hora, y los valores anterior y nuevo.	Por qué importaLos revisores preguntan quién cambió una política y cuándo. Sin los valores anterior y nuevo, el registro no puede responder qué cambió.	Evidencia que pedirUna entrada de registro de ejemplo y el plazo de conservación.
31	Registro de solicitudes. Para cada solicitud: fecha y hora, usuario o clave, modelo, proveedor que la atendió, regla de región, estado, tokens y coste, sin contenido salvo que el comprador lo active, con un plazo de conservación determinado.	Por qué importaPara los usos de alto riesgo, el artículo 26, apartado 6, del Reglamento de IA pide a los responsables del despliegue conservar los archivos de registro que estén bajo su control durante al menos seis meses. El registro de solicitudes es también la evidencia del inventario de IA.	Evidencia que pedirLa lista de campos, el plazo de conservación y una exportación de ejemplo.
32	Exportación. Los registros se exportan en CSV o mediante una API y pueden enviarse al SIEM del órgano de contratación.	Por qué importaLos registros que el comprador no puede extraer no le sirven para su propia auditoría.	Evidencia que pedirLos formatos, los límites de filas o de periodo y la documentación de la API.

9. Obligaciones del responsable del despliegue según el Reglamento de IA

N.º	Requisito	Por qué importa	Evidencia que pedir
33	Apoyo al inventario y a la alfabetización. El proveedor facilita la información que el comprador necesita para su inventario de IA y sus medidas de alfabetización en materia de IA del artículo 4: los modelos usados en cada aplicación, sus proveedores y sus limitaciones documentadas.	Por qué importaEl artículo 4 se aplica desde el 2 de febrero de 2025, y el inventario es el punto de partida de todas las demás obligaciones del Reglamento de IA.	Evidencia que pedirRegistros de modelo y proveedor por aplicación, y enlaces a la documentación de los modelos.
34	Usos de alto riesgo. Si el comprador va a usar el servicio para una finalidad del anexo III, el proveedor indica su papel según el Reglamento de IA y acepta las cláusulas pertinentes de las cláusulas contractuales tipo de la UE para la IA.	Por qué importaLas obligaciones del responsable del despliegue para el anexo III se aplican desde el 2 de diciembre de 2027 y dependen de información que solo tienen el proveedor y el proveedor del modelo.	Evidencia que pedirLa declaración del proveedor sobre su papel y un anexo MCC-AI cumplimentado (High Risk o Light).
35	Documentación de los modelos de IA de uso general. Para cada modelo de IA de uso general ofrecido, el proveedor enlaza la documentación que su proveedor pone a disposición de los proveedores posteriores y el resumen público del contenido de entrenamiento.	Por qué importaEl artículo 53 obliga a los proveedores de modelos de IA de uso general a ponerla a disposición, y los compradores la archivan por modelo.	Evidencia que pedirLos enlaces por modelo y la fecha de consulta.
36	Transparencia. El proveedor indica si las respuestas llevan un marcado legible por máquina y cómo apoya las obligaciones de información del comprador.	Por qué importaLas obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026.	Evidencia que pedirLa información de marcado por modelo y orientaciones para informar.

10. Salida y portabilidad

N.º	Requisito	Por qué importa	Evidencia que pedir
37	Interfaz estándar. La API sigue una interfaz de uso extendido, como el formato de chat completions compatible con OpenAI, de modo que las aplicaciones puedan cambiar sin reescribirse.	Por qué importaUna interfaz propietaria convierte un cambio de proveedor en un proyecto de software.	Evidencia que pedirLa referencia de la API y los SDK y herramientas que se sabe que funcionan con ella.
38	Exportación de datos a la salida. El órgano de contratación puede exportar la configuración, los usuarios, los metadatos de las claves, el uso y los registros en un formato legible por máquina antes y después de la resolución del contrato.	Por qué importaSi el servicio es un servicio de tratamiento de datos en el sentido del Reglamento de Datos, el capítulo VI da al cliente derechos de cambio de proveedor, y desde el 12 de enero de 2027 no pueden imponerse costes por cambio.	Evidencia que pedirLos formatos de exportación, la asistencia ofrecida para la transición y el tiempo que los datos siguen disponibles tras el preaviso.
39	Duración y preaviso. Duración del contrato, plazo de preaviso, posibles cargos por resolución y periodo de transición.	Por qué importaLas duraciones largas y los cargos por resolución determinan lo que cuesta salir.	Evidencia que pedirLas condiciones comerciales y la cláusula de resolución.

11. Soporte y SLA

N.º	Requisito	Por qué importa	Evidencia que pedir
40	SLA de disponibilidad. Un compromiso de disponibilidad mensual con créditos de servicio, el método de medición y las exclusiones.	Por qué importaLa IA está entrando en procesos productivos, donde una caída tiene un coste.	Evidencia que pedirEl documento del SLA, la página de estado pública y la disponibilidad de los últimos 12 meses.
41	Conmutación entre proveedores. Cuando un proveedor de modelos no está disponible, las solicitudes pasan a otro proveedor aprobado del mismo modelo, dentro de las reglas de región y de las listas de permitidos.	Por qué importaUna conmutación que ignora la región o la lista de permitidos incumple las reglas justo cuando ya hay un incidente en curso.	Evidencia que pedirEl diseño de la conmutación y el número de proveedores por modelo con cada regla de región.
42	Soporte y comunicación de incidentes. Canales de soporte, tiempos de respuesta por gravedad, idiomas y cómo se comunican los incidentes.	Por qué importaEl proceso de incidentes del comprador depende del del proveedor.	Evidencia que pedirLa política de soporte, la URL de la página de estado e informes de incidentes recientes.
43	Documentación de seguridad. Una descripción general de la seguridad, un cuestionario de seguridad cumplimentado y los informes de aseguramiento o certificaciones que tienen el proveedor y sus proveedores de alojamiento.	Por qué importaEs lo que revisa el equipo de seguridad del comprador antes de aprobar. Pedirlo con la licitación ahorra una ronda.	Evidencia que pedirLa página de seguridad, un cuestionario cumplimentado como el cuestionario de seguridad abierto para pasarelas LLM y los informes que haya.

Descargar el pliego (.md)Hoja de cálculo (.csv)

Cómo responde Standard Compute

Standard Compute es una pasarela de IA europea: una cuenta de empresa y una API para Claude, GPT, Gemini y modelos abiertos, operada por Standard Compute AS en Oslo. Estas son nuestras respuestas a los requisitos anteriores, con la redacción que usamos en nuestra página de seguridad y en nuestro contrato de encargo. Los números remiten a las filas del pliego.

N.º	Estado	Nuestra respuesta
N.º 1	Disponible, activable	Establezca una regla Europa para su empresa, un equipo o una sola clave, y cada solicitud, incluidos los reintentos y las conmutaciones por error, la atienden solo endpoints de inferencia europeos aprobados. Si ningún endpoint europeo puede atenderla, la solicitud se rechaza antes de enviar su prompt.
N.º 2	Disponible	Una regla Europa solo admite los endpoints de inferencia europeos aprobados que figuran en nuestra lista de subencargados, cada uno con su ubicación de tratamiento.
N.º 3	Disponible	Nuestra pasarela de la UE en eu.stdcmpt.com termina TLS y se ejecuta en Finlandia, y los datos de su cuenta se almacenan en Fráncfort.
N.º 4	Disponible	Los datos de su cuenta y de uso se almacenan en Fráncfort (Alemania). Los registros de solicitudes contienen solo metadatos (modelo, proveedor, tokens, coste y estado), nunca sus prompts ni sus respuestas. Cada subencargado de la plataforma figura con su ubicación.
N.º 5	Disponible	Tratamos sus prompts en memoria para atender cada solicitud y nunca los escribimos en almacenamiento ni en registros.
N.º 6	Disponible, activable	Active la retención cero de datos para su empresa, un equipo o una clave, y cada solicitud se envía solo a endpoints de inferencia que se comprometen a no guardar ninguna copia de sus datos. Los equipos y las claves heredan el requisito y nunca pueden desactivarlo.
N.º 8	Disponible	El contrato de encargo prevé la supresión o devolución de todos los demás datos personales del cliente en un plazo de 30 días desde la resolución del contrato (sección 10).
N.º 9, 10	Disponible	Standard Compute nunca entrena con sus prompts ni con sus respuestas. Con una regla de región o la retención cero activada, cada solicitud va solo a proveedores que se comprometen a no entrenar con ella.
N.º 12, 16	Disponible	Firme nuestro contrato de encargo del tratamiento en el panel en unos minutos. Nos compromete a no entrenar con sus datos, a no conservar su contenido y a notificar las violaciones de seguridad en un plazo de 72 horas. El contrato se rige por el Derecho noruego.
N.º 13, 14	Disponible	Publicamos cada subencargado con su finalidad, los datos que trata y su ubicación, y le avisamos con 14 días de antelación antes de añadir uno nuevo.
N.º 15	Disponible	Las transferencias fuera del EEE o del Reino Unido a un país sin decisión de adecuación se rigen por las cláusulas contractuales tipo de la UE y, para los datos del Reino Unido, por el UK IDTA (contrato de encargo, sección 6).
N.º 17	Disponible	Conecte Microsoft Entra ID o cualquier proveedor de identidad SAML para que su personal acceda a Standard Compute con su cuenta de trabajo. Quien pertenezca a su dominio verificado se une a su empresa automáticamente.
N.º 18	Parcialmente	El acceso con SAML está disponible para toda empresa con SSO. El acceso con contraseña sigue disponible junto a él, de modo que el SSO no es la única vía de entrada.
N.º 19, 21	Disponible	Los empleados inician sesión en Claude Desktop y Claude Code con su cuenta de trabajo de Microsoft, a través de nuestra pasarela de la UE, sin claves de API que repartir. El acceso sigue sus grupos de Microsoft Entra mediante aprovisionamiento SCIM.
N.º 20	Disponible	Organice su empresa en equipos, invite a sus compañeros por correo electrónico y dé a cada persona y a cada aplicación su propia clave, todo bajo una cuenta de empresa. Los roles son administrador y miembro.
N.º 22, 23	Parcialmente	Cada persona y cada aplicación tiene un presupuesto mensual fijo que nunca se supera, y puede fijar límites de gasto por clave y para toda la empresa. No hay un presupuesto propio por equipo: los equipos se controlan mediante los presupuestos de sus personas y aplicaciones.
N.º 24	Disponible	Planes mensuales fijos por persona o aplicación, sin sorpresas por tokens, y facturas de Stripe con el nombre de su empresa y su NIF-IVA. Los precios están en dólares estadounidenses.
N.º 25	Disponible	Use modelos abiertos punteros, como GLM, DeepSeek, MiniMax y Kimi, junto a Claude, GPT y Gemini a través de una sola API. GLM, DeepSeek y MiniMax también los sirven proveedores europeos para los espacios de trabajo limitados a Europa.
N.º 26	Disponible	Decida qué modelos puede usar cada clave, para que cada aplicación y cada miembro del equipo tenga exactamente los modelos que usted aprueba.
N.º 27	Disponible	Elija exactamente qué proveedores de inferencia pueden tratar sus datos, para toda la empresa, un equipo o una sola clave. Los niveles inferiores solo pueden restringir las reglas, nunca se añaden proveedores nuevos sin la aprobación de un administrador y las conmutaciones nunca pueden saltarse su lista.
N.º 29	Disponible	Cada paso va al modelo más barato capaz de hacerlo y al proveedor más barato que sea lo bastante rápido, y el registro de la solicitud muestra el modelo y el proveedor que la atendió.
N.º 30, 31, 32	Disponible	Cada cambio de administración se registra con los valores anterior y nuevo, y puede exportar un registro de cada solicitud con el modelo, el proveedor que la atendió y la regla de región vigente, conservado durante 12 meses. Las exportaciones son en CSV.
N.º 33	Disponible	Una clave por persona y por aplicación, los modelos que puede usar cada clave, y el modelo y el proveedor de cada solicitud: los registros que pide nuestra checklist del Reglamento de IA para el responsable del despliegue.
N.º 37	Disponible	Una API compatible con OpenAI (formato chat completions) para todos los modelos, documentada en la referencia de la API.
N.º 40, 41	Disponible	Si un proveedor cae, su solicitud pasa automáticamente a otro proveedor aprobado del mismo modelo, sin salir de sus reglas de región ni de proveedores. Enterprise incluye un SLA de disponibilidad mensual del 99,9 % con créditos de servicio. El estado en tiempo real es público en /status.
N.º 43	Disponible	Nuestra página de seguridad, nuestro cuestionario de seguridad cumplimentado, la lista de subencargados y el contrato de encargo son públicos.

Las filas que no aparecen se responden en su oferta junto con su interlocutor en Standard Compute. El pliego de arriba sigue siendo neutral: úselo con cualquier proveedor.

Crear una cuenta de empresa

Preguntas

¿Qué debe incluir una licitación de una pasarela LLM o una plataforma de IA?: Dónde se tratan los datos, qué se conserva, quién puede entrenar con ellos, los subencargados y el contrato de encargo, la identidad y el acceso (SSO, SCIM, claves), el control del gasto, qué modelos y proveedores se permiten, los registros de auditoría y su exportación, el apoyo a las obligaciones del responsable del despliegue según el Reglamento de IA, las condiciones de salida y el SLA. Este pliego cubre cada área con 43 requisitos y la evidencia que pedir.
¿Pueden los órganos de contratación usar este pliego en una licitación pública?: Sí. Es libre para copiar y modificar. Los órganos de contratación suelen usarlo como anexo de requisitos técnicos del pliego de prescripciones técnicas y añadir al contrato las cláusulas contractuales tipo de la UE para la IA (MCC-AI), de carácter voluntario. Revise los requisitos con arreglo a su normativa de contratación y marque los obligatorios antes de publicar.
¿Qué son las cláusulas contractuales tipo de la UE para la IA?: Cláusulas modelo para la contratación de sistemas de IA, publicadas por la Community of Practice on Public Procurement of AI en la Public Buyers Community de la Comisión Europea. La actualización de marzo de 2025 tiene una versión completa para la IA de alto riesgo y una versión reducida (Light) para el resto. Son voluntarias y están pensadas como anexo de un contrato, que sigue teniendo que regular la protección de datos, la responsabilidad y la propiedad intelectual.
¿Es un proveedor de modelos un subencargado de una pasarela de IA?: Normalmente sí. Cuando una pasarela reenvía a un proveedor de modelos prompts que contienen datos personales, ese proveedor trata los datos por cuenta de la pasarela. Por eso las filas 13 y 14 piden una lista de subencargados que incluya a los proveedores de inferencia y un aviso previo antes de añadir otros nuevos.
¿Cuánto tiempo debe conservar una plataforma de IA los registros de solicitudes?: Para los usos de alto riesgo, el artículo 26, apartado 6, del Reglamento de IA pide a los responsables del despliegue conservar los archivos de registro que estén bajo su control durante al menos seis meses, salvo que otra normativa disponga otra cosa. Muchos compradores piden 12 meses de registros de solicitudes con solo metadatos y ningún contenido almacenado.

Fuentes

Responda a todo el pliego con un solo proveedor: una pasarela europea a modelos de frontera y abiertos, con todos los controles en una cuenta de empresa.